Cibersegurança e IA: identidade, fornecedores e outros pontos cegos da segurança digital

Um mostra o campo de batalha. O outro, a sala de reunião. Quando os dois apontam para o mesmo lugar, a mensagem ganha força. Quando divergem, revelam pontos cegos. O “Microsoft Digital Defense Report 2026” (MDDR) parte da telemetria: o que a Microsoft observou em sistemas, e-mails, identidades e incidentes entre julho de 2025 e junho de 2026. É um retrato de como os ataques realmente acontecem. O “2027 Global Digital Trust Insights”, da PwC, parte da percepção e da gestão: ouviu 3.934 executivos de negócio e tecnologia em 71 países, entre maio e julho de 2026, sobre como estão se preparando, investindo e governando o risco. A América Latina responde por 12% dos entrevistados.

Publicados com poucos dias de diferença, os estudos olham para o mesmo problema por ângulos e abordagens diferentes, mas com um ponto de partida parecido. A Microsoft abre seu relatório dizendo que o desafio dos líderes de segurança “não é mais a falta de informação”, mas a complexidade crescente dos ambientes que precisam proteger, e que o risco está “cada vez mais interconectado”. A PwC fala em um “mundo de alvos em movimento”, em que mudanças simultâneas na tecnologia, nas ameaças e na geopolítica fazem com que “o próprio ritmo da mudança” seja um desafio central de cibersegurança.

Os relatórios se aproximam em nove temas, e há duas divergências que merecem atenção, que exploramos a seguir.

CADASTRE-SE GRÁTIS PARA ACESSAR 5 CONTEÚDOS MENSAIS

Já recebe a newsletter? Ative seu acesso

Ao cadastrar-se você declara que está de acordo
com nossos Termos de Uso e Privacidade.

Cadastrar

1. IA virou alvo, e as empresas sabem que não estão prontas

O que diz a PwC. A maior lacuna de preparo apontada pelos líderes de segurança cibernética é a proteção da própria IA. Metade (50%) coloca os ataques a sistemas de IA entre as cinco ameaças para as quais está menos preparada nos próximos 12 meses, à frente de ameaças ligadas à nuvem (40%), violações por terceiros (34%), ransomware (33%) e comprometimento da cadeia de suprimentos de software (33%). Entre os ataques habilitados por IA, os que mais preocupam são o comprometimento por botnets autônomas (53%), os ataques adversariais, que manipulam sistemas de IA alterando sutilmente as entradas (52%), e o envenenamento de dados de treinamento (52%).

O que diz a Microsoft. A telemetria confirma que a preocupação tem base. O relatório afirma que os atacantes “já estão mirando a IA como mais uma superfície de ataque” e que a IA se tornou “ao mesmo tempo ferramenta e alvo”. Nos dados da empresa, quase todas as assinaturas de IA atacadas em 2026 envolviam serviços generativos: OpenAI e Azure OpenAI (39%), agentes e aplicações de IA personalizados (31%), outros serviços generativos (20%) e AI Foundry (8%). Serviços não generativos somaram menos de 2%. Na telemetria de cargas de IA, quatro técnicas responderam por cerca de 90% da atividade de ataque: injeção de links maliciosos (52%), jailbreak e contorno de salvaguardas (16%), abuso de ferramentas e agentes (12%) e abuso de identidades e credenciais (10%). A Microsoft também mostra que dados de IA viraram produto cobiçado. Extensões de navegador que se passavam por assistentes de IA chegaram a cerca de 900 mil instalações e afetaram mais de 20 mil tenants corporativos, coletando históricos de conversas com IA. Esses históricos, observa o relatório, “rotineiramente contêm código-fonte, arquitetura, dados de clientes e credenciais vazadas”.

A IA de fronteira muda a escala

Os dois estudos destacam o salto dos modelos de IA mais avançados. A PwC afirma que esses modelos “são agora excepcionalmente bons em encontrar vulnerabilidades de software desconhecidas” e em explorá-las “com mínima intervenção humana”, além de identificar configurações incorretas, dispositivos sem atualização e credenciais padrão. A Microsoft traz números: o tempo mediano entre a descoberta de uma vulnerabilidade explorada e sua transformação em arma caiu para “bem abaixo de 24 horas”, e 2026 caminha para um recorde estimado de 72 mil CVEs registradas. A empresa prevê “um período de vários anos” em que o número de vulnerabilidades conhecidas e não corrigidas vai disparar antes de cair, porque a descoberta automatizada corre à frente da correção.

O “Global Cybersecurity Outlook 2026”, do Fórum Econômico Mundial, mostra que 87% dos entrevistados apontaram as vulnerabilidades ligadas à IA como o risco cibernético que mais cresceu em 2025. O relatório “Cost of a Data Breach 2026”, da IBM, registra que 13% das organizações relataram violações de modelos ou aplicações de IA e que 97% das organizações comprometidas nesses incidentes não tinham controles de acesso adequados para IA.

O insight. A segurança da IA deixou de ser um tema futuro. A PwC mostra que os executivos reconhecem a lacuna, a Microsoft mostra que os atacantes já a exploram. Como resume a PwC, velocidade de adoção e segurança “não podem ser tratadas como escolhas concorrentes”.

2. IA na defesa: todos querem o agente, poucos querem dar a ele a chave

O que diz a PwC. A IA é a principal prioridade de investimento em cibersegurança: 58% dos líderes de segurança cibernética a colocam entre suas cinco maiores prioridades de orçamento. Os usos mais buscados são detecção de ameaças e alertas (50%), detecção de fraudes (43%) e detecção e resposta a phishing (42%). Mas a confiança para deixar os agentes agirem sozinhos é limitada. Só 22% autorizariam agentes de IA a executar ações de defesa de forma totalmente autônoma, sem aprovação humana. Outros 38% permitiriam autonomia parcial, só para ações de baixo risco, com aprovação humana antes de ações de médio ou alto impacto. E 36% preferem execução liderada por humanos, com apoio da IA, em todas as ações. As organizações aceitam autonomia principalmente para tarefas bem definidas e repetitivas: enriquecimento e correlação de inteligência de ameaças (49%), quarentena ou exclusão de e-mails de phishing (47%) e remoção de malware e remediação de sistemas (46%). As principais barreiras são a confiabilidade e a maturidade da tecnologia (55%) e a responsabilização e a explicabilidade das decisões (46%). Entre os CISOs, 44% citam a falta de profissionais capacitados para supervisionar e governar a IA.

O que diz a Microsoft. O modelo que a Microsoft recomenda a governos coincide com a “autonomia parcial” que a maior parcela dos entrevistados da PwC aceita. No relatório, ações de baixo risco, como enriquecer alertas e resumir inteligência, podem rodar de forma autônoma. As ações de risco médio, como isolar uma conta, exigem aprovação humana. E as decisões de alto risco, como declarar uma violação, permanecem lideradas por pessoas. “Autonomia sem responsabilização” não funciona, diz o texto. A Microsoft também mostra o que está em jogo do lado do ganho: organizações que usam o Security Copilot relatam resumir ameaças de 60% a 70% mais rápido. O agente de triagem de phishing economiza quase 200 horas por mês ao fechar milhares de falsos positivos; e a equipe de segurança da própria Microsoft usa agentes de IA para investigar de forma autônoma 75% dos incidentes recebidos.

O mesmo cuidado, por caminhos diferentes 

As duas fontes chegam ao mesmo princípio de controle. A PwC afirma que, como agentes produzem resultados probabilísticos, quando um resultado precisa estar correto sempre, ele deve passar por “um controle que o agente não consegue influenciar”, como revisão, fluxo de aprovação ou validação por outro sistema. A Microsoft chega à mesma conclusão a partir de testes do seu Red Team: a aprovação humana (human-in-the-loop) pode ser contornada quando a decisão de pedir aprovação fica com o próprio sistema que o atacante consegue manipular. Em testes, entradas maliciosas plantadas na memória de agentes foram usadas para suprimir esses controles. A recomendação é que a aprovação seja acionada por políticas determinísticas.

Em outro estudo, a IBM mostra o valor econômico da automação bem governada: organizações que usam IA e automação de forma extensiva na segurança economizaram em média US$ 1,9 milhão por violação e encurtaram o ciclo da violação em 80 dias.

O insight. O mercado converge para um modelo de autonomia gradual e limitada pelo risco. A questão não é se usar agentes, mas onde traçar a fronteira e garantir que ela seja aplicada por algo que o agente não controla.

3. Você é tão resiliente quanto o seu ecossistema

O que diz a PwC. “Você é tão resiliente quanto o seu ecossistema”, cita o relatório da PwC. As violações por terceiros (34%) e o comprometimento da cadeia de suprimentos de software (33%) estão entre as ameaças para as quais as empresas se sentem menos preparadas. A resposta mais citada às tensões geopolíticas é mudar a gestão de riscos de fornecedores, terceiros e cadeia de suprimentos (50%). Para reduzir a concentração de risco, 54% dos líderes de segurança e risco estão adotando estratégias multicloud ou de nuvem híbrida, 47% reforçam a redundância regional de dados e tecnologia e 37% localizam infraestrutura em jurisdições específicas. A PwC também aponta um novo risco: a IA de fronteira está “democratizando a criação de software”, permitindo que mais código, APIs e configurações de nuvem sejam criados fora das equipes tradicionais de engenharia, muitas vezes sem as revisões de segurança habituais e com possível consequência de redução na segurança.

O que diz a Microsoft. A telemetria mostra como esse risco se materializa. Os grandes ecossistemas de desenvolvimento (npm, PyPI, Crates.io e GitHub Actions) sofreram ataques aproximadamente a cada dez dias, com aceleração no segundo trimestre de 2026:

• o Shai-Hulud 2.0 afetou 25 mil repositórios
• o Megalodon instalou backdoors em mais de 5,5 mil repositórios do GitHub em menos de seis horas;
• o pacote Axios, comprometido por um grupo patrocinado pelo Estado norte-coreano, chegou a mais de 100 milhões de downloads semanais enquanto estava sob controle dos atacantes.

Nos dados de resposta a incidentes, comprometimento da cadeia de suprimentos e relações de confiança com terceiros dobraram como vetores de acesso inicial, cada um de 2% para 4%. O Red Team resume: “O ambiente do desenvolvedor é o novo perímetro.” A Microsoft confirma o alerta da PwC sobre software criado fora da engenharia. Segundo o relatório, servidores do Model Context Protocol (MCP), que conectam APIs a sistemas de IA, são frequentemente criados por vibe coding e “imediatamente implantados”, e é comum encontrá-los expostos, sem autenticação adequada, usando credenciais do próprio desenvolvedor. A recomendação é tratar a governança desses serviços, “assim como de todo software criado por vibe coding”, como uma preocupação central.

A mesma recomendação nos dois relatórios

No seu guia para executivos, a PwC recomenda que o CISO avalie a concentração de risco em fornecedores “como um atacante faria”, simulando caminhos e infraestrutura compartilhada que permitiriam a um único incidente se espalhar por fornecedores aparentemente independentes. A Microsoft diz praticamente o mesmo ao defender um “grafo”, e não apenas um inventário, para entender o que cada desenvolvedor e as automações que agem por ele conseguem alcançar.

O relatório “Data Breach Investigations Report 2025”, da Verizon, mostra que a participação de terceiros nas violações dobrou, de 15% para 30%. O Fórum Econômico Mundial registra que 65% das grandes empresas apontam vulnerabilidades de terceiros e da cadeia de suprimentos como seu maior obstáculo à resiliência cibernética, contra 54% em 2025.

O insight. O perímetro deixou de ser a rede da empresa e passou a ser a soma de todas as suas dependências. A PwC e a Microsoft concordam que a resposta passa por mapear dependências, reduzir concentração e validar continuamente o que os fornecedores dizem sobre si mesmos.

4. A geopolítica entrou de vez no risco cibernético

O que diz a PwC. As operações cibernéticas são agora “uma característica persistente da competição geopolítica, tanto em conflito quanto em tempos de paz”. Em resposta, 50% das organizações estão mudando a gestão de riscos de terceiros e cadeia de suprimentos, 49% estão revendo seguro cibernético, resposta a incidentes e gestão de crises, 47% estão ampliando inteligência de ameaças, monitoramento geopolítico e colaboração com governo e indústria, e 43% estão mudando a localização, a resiliência e a redundância de infraestrutura crítica. A PwC também nota que tecnologia operacional (OT) e infraestrutura física passaram a ser alvo de ataques cibernéticos e cinéticos.

O que diz a Microsoft. A telemetria mostra os quatro principais atores estatais (China, Irã, Rússia e Coreia do Norte) migrando para modelos de acesso “persistentes, escaláveis e estrategicamente alinhados”, com ênfase no posicionamento de longo prazo dentro de ambientes de alto valor. China, Irã e Rússia buscam acesso em setores estratégicos, como infraestrutura crítica, de onde podem passar da espionagem à disrupção. O caso mais grave do período ilustra esse risco: em dezembro de 2025, um ator estatal russo usou dispositivos de borda comprometidos para um ataque destrutivo coordenado contra o setor de energia da Polônia, o que, segundo a Microsoft, indica “uma nova disposição de destruir infraestrutura crítica fora da Ucrânia”.

O Fórum Econômico Mundial mostra que 64% das organizações consideram ataques com motivação geopolítica em seu planejamento de riscos e que 91% das maiores organizações mudaram suas estratégias de cibersegurança por causa da volatilidade geopolítica.

O insight. A geopolítica deixou de ser contexto e passou a influenciar decisões operacionais: onde ficam os dados, quais fornecedores contratar, como desenhar redundância. As empresas estão reagindo principalmente pelo lado dos terceiros, exatamente onde a Microsoft vê os atores estatais buscando escala.

5. Dados: a fundação que a IA exige e que poucos completaram

O que diz a PwC. “A IA é tão confiável quanto os dados que estão por baixo dela.” Proteção de dados e confiança é o fator que mais influencia as prioridades de gasto em segurança (51% a colocam em primeiro lugar). Mesmo assim, as empresas implementaram em toda a organização, em média, apenas três de sete medidas-chave de risco de dados, e só 5% implementaram todas as medidas, contra 7% no ano anterior. A lacuna, diz a consultoria, “não apenas persistiu, como aumentou”. Apenas cerca de metade tem políticas de classificação de dados (49%) e prevenção de perda de dados nos principais canais de saída (48%) implantadas em toda a empresa.

O que diz a Microsoft. Uma das dez principais conclusões do relatório é que proteger dados ficou “ainda mais importante” porque a IA amplia o acesso em escala. Como sistemas e agentes de IA podem alcançar e agir sobre informações sensíveis em escala sem precedentes, a Microsoft recomenda reduzir o compartilhamento excessivo, aplicar acesso baseado na sensibilidade e menor privilégio, e governar como os dados são descobertos, usados e compartilhados. O relatório alerta que um sistema de IA comprometido ou com privilégios excessivos “pode agregar e expor informações muito além do escopo de qualquer aplicação isolada”.

A IBM mostra que uma em cada cinco organizações relatou violação ligada a “Shadow AI” (uso não autorizado de ferramentas de IA), com custo adicional médio de US$ 670 mil, e que 63% das organizações violadas não têm política de governança de IA ou ainda a estão desenvolvendo.

O insight. As empresas estão construindo IA sobre uma base de dados incompleta. Os dois relatórios apontam que, sem classificação, controle de acesso e monitoramento de dados, qualquer agente de IA amplia o raio de impacto de um incidente.

6. Da inteligência à ação: o valor está na conexão dos sinais

O que diz a PwC. A seção tem um título direto: “A inteligência ainda não está levando à ação”. A maioria das empresas está implementando, em parte ou em toda a organização, capacidades para dar contexto ao risco cibernético: definir responsáveis por agir sobre sinais de risco (81%), mapear riscos para serviços críticos (79%) e integrar dados de risco de várias ferramentas em uma visão unificada (77%). Mas menos da metade implementou qualquer uma dessas capacidades em toda a organização. Só 42% incorporaram a visão de risco cibernético à gestão de riscos corporativos, 37% correlacionam inteligência de ameaças com dados internos de ativos e vulnerabilidades e 36% usam análise preditiva. Apenas 5% implementaram as oito medidas pesquisadas.

O que diz a Microsoft. A Microsoft trata o mesmo tema como uma questão de arquitetura e o considera decisivo. Segundo o relatório, o grau em que os sistemas de um defensor compartilham e correlacionam inteligência de ameaças é “uma das variáveis estratégicas de maior alavancagem sob controle do defensor”. Quando a telemetria de cada sistema é analisada isoladamente, cada novo sistema adiciona trabalho sem fortalecer os demais, e a eficácia se dilui conforme o ambiente cresce. Com correlação completa, segundo a modelagem citada, a eficácia marginal do investimento passa a independer do número de sistemas protegidos. Na prática, a Microsoft recomenda que a inteligência funcione “como um insumo contínuo ao longo do ciclo de detecção, e não como fonte de referência pós-incidente”.

O insight. Enquanto a PwC mede a lacuna, a Microsoft explica por que ela custa caro. Ter ferramentas e dados não basta. O ganho está em conectá-los, e quase nenhuma empresa completou esse trabalho.

7. Resiliência é um teste de negócio, e a maioria ainda não está pronta para ele

O que diz a PwC. “Manter o negócio funcionando, mesmo durante uma interrupção, é o objetivo final da cibersegurança.” Ainda assim, só 39% dos líderes de segurança, risco e operações têm planos de continuidade operacional totalmente formalizados e integrados que tratam especificamente de riscos cibernéticos. Outros 23% não têm planos formais. A PwC recomenda começar definindo a “empresa mínima viável”, o menor conjunto de capacidades necessário para a organização continuar operando durante uma interrupção, e então construir e testar planos de recuperação em torno da tecnologia e dos terceiros que a sustentam. No conselho, a governança existe no papel, mas ainda não está incorporada à rotina. Cerca de nove em cada dez líderes concordam que práticas como supervisão do conselho e responsabilização executiva estão em vigor. Mas só 47% concordam totalmente que o risco cibernético é pauta permanente do conselho, 45% nas reuniões da liderança executiva, 36% que as métricas de risco cibernético estão ligadas ao desempenho do negócio e 34% que decisões de negócio disparam rotineiramente uma avaliação de risco cibernético.

O que diz a Microsoft. A Microsoft formula a mesma questão como a pergunta que define o papel do conselho: “Não é se haverá uma interrupção, mas se a organização consegue continuar operando, conter o dano, se recuperar rapidamente e manter a confiança quando ela ocorrer”. Uma das dez prioridades do relatório é governar o risco cibernético no nível da liderança, acompanhando exposição de identidades, latência de patches, permissões de agentes, dependências críticas, tempo de permanência do invasor e prontidão para recuperação. O relatório defende passar da “defesa em profundidade” para a “resiliência desde a concepção”, que parte de três premissas: falhas vão ocorrer, as dependências importam tanto quanto os adversários, e recuperação e continuidade são tão críticas quanto a prevenção. Os dados de resposta a incidentes da Microsoft indicam aumento estatisticamente significativo no tempo de permanência dos invasores na comparação anual: as organizações estão demorando mais para perceber que foram invadidas. A IBM estima o ciclo médio para identificar e conter uma violação em 241 dias e o custo médio global em US$ 4,44 milhões. No Brasil, o custo médio chegou a R$ 7,19 milhões.

O insight. Os dois relatórios tiram a resiliência da área técnica e a colocam na agenda executiva. A PwC mostra que os líderes concordam com o que importa. Os planos de continuidade e a recuperação estão entre as métricas mais valorizadas pelos CEOs e conselhos, mas só 39% têm planos formalizados. Nas palavras da PwC, “concordar sobre o que importa é um bom primeiro passo. Operacionalizar é o próximo desafio”.

8. Quem responde pela IA?

O que diz a PwC. Não surgiu um modelo único de responsabilidade pela governança e pelo risco de IA. Um terço (33%) dos CEOs e líderes de segurança e risco já criou funções dedicadas, como um Chief AI Officer (CAIO) ou um comitê de IA. Pelo menos 29% atribuem a responsabilidade ao CIO, CTO ou área de tecnologia, 17% ao CISO ou área de cibersegurança, e 11% dizem que ela é compartilhada entre várias funções. Para a PwC, definir claramente quem responde pela IA pode ajudar a superar as barreiras de confiança atuais, inclusive no uso de agentes autônomos na defesa.

O que diz a Microsoft. O relatório da Microsoft leva a mesma lógica ao nível de cada agente. “Cada agente precisa de sua própria identidade, não de uma credencial emprestada de um funcionário humano”, e “nenhum ambiente deve ter um agente sem um humano que responda por ele”. O relatório recomenda um “patrocinador humano” para cada agente, com transferência automática da responsabilidade quando esse patrocinador muda, e a criação de um comitê de governança de agentes com donos de aplicações, custodiantes de dados, especialistas em conformidade e patrocinadores. A empresa aponta a ausência de responsabilização humana como um dos três grandes riscos da adoção de agentes, ao lado da proliferação sem governança e do acúmulo de privilégios. A urgência cresce com a escala. A Microsoft observou que 88% das empresas já experimentam agentes e que 82% dos líderes planejam implantações mais amplas nos próximos 12 a 18 meses. As projeções do setor citadas no relatório apontam para cerca de 1,3 bilhão de agentes em produção até 2028.

O insight. A PwC mostra que a pergunta “Quem é o dono da IA?” ainda não tem resposta padrão nas empresas. A Microsoft mostra que, sem essa resposta para cada agente, há sempre alguém a quem recorrer faltando quando algo der errado.

9. Criptografia pós-quântica: todos sabem, poucos começaram

O que diz a PwC. A exposição à Computação Quântica aparece em sétimo lugar entre as ameaças para as quais as empresas se sentem menos preparadas, mas os CISOs a colocam em quarto, sinal de que quem está mais perto do risco vê mais urgência. Só 21% das organizações estão implementando medidas de segurança resistentes à Computação Quântica, enquanto quase metade (49%) nem começou. Apenas 5% implementam as seis iniciativas de preparo pesquisadas, e a Computação Quântica é a última na lista de prioridades de investimento (18%).

O que diz a Microsoft. A Microsoft lembra que o risco já existe: atacantes podem coletar dados cifrados hoje para decifrá-los quando houver capacidade quântica (“colher agora, decifrar depois”). A transição exigirá “uma transformação de vários anos” e começa por um inventário criptográfico, em quatro etapas: descobrir onde a criptografia é usada, avaliar o que é vulnerável, planejar a correção por criticidade e implementar de forma controlada. Até junho de 2026, mais de 25 governos haviam emitido orientações ou exigências sobre criptografia pós-quântica.

O insight. Os dois relatórios concordam que a transição levará anos e precisa começar agora. A PwC mostra que a maioria das empresas ainda não começou, enquanto governos já criam prazos, o que tende a transformar o tema de prioridade técnica em exigência regulatória.

10.Talentos escassos e a defesa como serviço

O que diz a PwC. A escassez de profissionais especializados em segurança e IA está levando as empresas a buscar parceiros. IA (53%) e segurança na nuvem (49%) lideram as prioridades de serviços gerenciados de segurança para o próximo ano, à frente de proteção de dados (42%) e gestão de ameaças (39%). Para reter talentos, as eorganizações priorizam oportunidades de crescimento (59%), uma cultura de segurança forte (53%) e ferramentas de IA com treinamento para trabalhar ao lado delas (53%), acima de remuneração competitiva (40%). A consultoria também aponta que a falta de habilidades e recursos é o maior desafio para proteger a OT e os sistemas industriais.

O que diz a Microsoft. A Microsoft propõe uma lógica parecida para o setor público: em vez de cada órgão manter seu próprio centro de operações de segurança, governos deveriam investir em uma capacidade de defesa compartilhada, operada como serviço para vários órgãos. O argumento é o mesmo: órgãos menores, como prefeituras e autoridades de saúde, ficam expostos por uma lacuna crônica de competências. Nesse modelo, analistas escassos deixam a triagem manual para virar “supervisores estratégicos” de uma frota de agentes.

O insight. Os relatórios da Microsoft e PwC indicam que poucas organizações conseguirão sustentar sozinhas a defesa de que precisam. A PwC faz uma ressalva importante: usar parceiros estratégicos para acessar competências escassas “mantendo a propriedade do risco, da arquitetura e dos direitos de decisão”.

Onde os relatórios divergem

Identidade: o centro dos ataques e um item secundário no orçamento

A questão da Identidade Digital apresentou o contraste mais evidente entre as duas análises. Para a Microsoft, ela é o centro de tudo. Entre as dez principais conclusões do relatório está a de que “a identidade é o principal plano de controle da defesa”, e uma das dez prioridades recomendadas às empresas é defendê-la como tal. Os dados sustentam a afirmação:

• Execução pelo usuário (30%) e contas válidas (20%) respondem por mais da metade do acesso inicial observado pelo serviço Defender Experts
• Mais da metade das intrusões por contas válidas (52,2%) envolveram novo roubo de credenciais logo depois
• Na nuvem, ataques de password spray respondem por mais de 99% das tentativas de acesso inicial observadas
• O phishing que rouba sessões (AiTM) já é 44,6% das técnicas de phishing identificadas
• Mais de 46 milhões de ataques de personificação de contatos de negócios em 12 meses

Na pesquisa da PwC, a identidade aparece em posição bem mais modesta. A Gestão de Identidades e Acessos é a oitava prioridade de investimento, citada por 28% das lideranças de segurança, atrás de IA (58%), Nuvem (46%), Proteção de Dados (39%) e Rede e Zero Trust (35%). Entre as ameaças para as quais as empresas se sentem menos preparadas, comprometimento de e-mail corporativo e sequestro de contas (24%) e Engenharia Social (22%) aparecem perto do fim da lis

Há duas leituras possíveis, e nenhum dos relatórios permite escolher entre elas. Uma é que as empresas se consideram relativamente preparadas para essas ameaças conhecidas e por isso concentram a atenção no que é novo. A outra é que existe um descompasso entre onde os ataques acontecem e onde está a atenção dos executivos. A própria Microsoft afirma, a partir dos testes do seu Red Team, que a maior parte do que se explora na identidade “não tem nada a ver com IA”: o problema central continua sendo “acesso permanente demais, aplicado com pouco rigor””. Os ataques a sistemas de IA, que lideram as preocupações na PwC, dependem muitas vezes da identidade. A Microsoft aponta a identidade em nuvem como provavelmente o principal ponto de acesso para explorar agentes

Métricas: conformidade ou exposição?

A segunda divergência está em como medir sucesso. Na PwC, a métrica mais citada para mostrar que a estratégia de segurança reduz riscos é o resultado de auditorias de conformidade e a eficácia dos controles, tanto para líderes de segurança (49%) quanto para CEOs e conselhos (50%). A própria PwC observa que a conformidade é uma “base”, mas que demonstrar eficácia “exige medir além dela”.

A Microsoft propõe trocar a régua: os indicadores deveriam deixar de contar “patches aplicados” e passar a medir exposição reduzida, cobertura de detecção ampliada e tempo de mitigação comprimido. No centro de operações de segurança, o número de regras ou alertas “não é mais uma medida significativa de maturidade”. A métrica que mais se aproxima disso na pesquisa da PwC, tempo médio de detecção e resposta, aparece com 41% entre líderes de segurança e 37% entre CEOs e conselhos.

O insight. Medir conformidade é necessário, mas a telemetria sugere que os ataques acontecem justamente nos intervalos entre auditorias, por isso as métricas de exposição e velocidade importam.

Duas lentes, uma mesma direção

Lidos juntos, os dois relatórios contam uma história coerente. A PwC mostra empresas que voltaram a investir (84% esperam aumento de orçamento em segurança, seis pontos percentuais a mais que no ano anterior), que reconhecem a IA como a maior lacuna de preparo e que entendem a resiliência como objetivo final, mas que ainda têm lacunas básicas: só 39% com planos de continuidade formalizados, só 5% com todas as medidas de proteção de dados e só 5% com todas as medidas para transformar inteligência em ação. A Microsoft mostra que os atacantes exploram exatamente essas lacunas, com identidades legítimas, dependências de software, dispositivos de borda e, cada vez mais, a própria IA.

As duas fontes convergem na prescrição: fortalecer fundamentos (identidade, dados, correção rápida), mapear e reduzir dependências, usar IA na defesa com autonomia limitada pelo risco e dar à liderança executiva a responsabilidade pela resiliência. Como resume a PwC, mesmo organizações com bases sólidas “precisam repensar o que significa ser resiliente”. E, nas palavras da Microsoft, as organizações mais bem posicionadas não serão as que têm mais dados, as maiores equipes ou as ferramentas mais avançadas, mas “as que conseguem entender seus ecossistemas, gerenciar dependências, se adaptar rapidamente e tomar decisões confiantes em meio à mudança”.

• identidade digital
• resiliência cibernética
• agentes de ia
• governança de IA
• cibersegurança e IA
• segurança da IA
• Microsoft Digital Defense Report 2026
• PwC Global Digital Trust Insights 2027
• cadeia de suprimentos de software
• risco de terceiros
• continuidade de negócios
• criptografia pós-quânticacriptografia pós-quânticacriptografia pós-quânticacriptografia pós-quânticacriptografia pós-quântica